Jonathan BLANC 
Adrien DE GEORGES 
Licence Informatique 



Enseignant : Sandrine JULIA 
Annee universitaire 2003/2004 



TECHNIQUES 

DE 
CRYPTOGRAPHIE 







Qu'est-ce que 
tout ceftt 
peut hie n 

signifter? 

"~ if 




1 - 



TABLE DES MATIERES 



INTRODUCTION 



1. TECHNIQUES DE CRYPTOGRAPHIE AU COURS DE L'HISTOIRE 4 

1.1 Systeme de Cesar 4 

1.2 systeme de vlgenere 4 

1.3 Systeme de Playfair 5 

1.4 Systeme ADFG(V)X 6 

1.5 Machines a rotors 6 

2. CRYPTOSYSTEMES ACTUELS 7 

2.1 CRYPTOGRAPHIE A CLEFS PRIVES 7 

2.1.1 CRYPTOSYSTEMES PAR FLOTS 7 

2.1.2 CRYPTOSYSTEMES PAR BLOCS 8 

2.1.3 Algorithme Data Encryption Standard (DES) 9 

2.1.4 Rijndael (AES) 13 

2.2 cryptographie a clefs publiques 15 

2.2.1 Principe 15 

2.2.2 RSA 16 

2.2.3 SSL 17 

3. SECURITE ET ATTAOUES DE SYSTEMES ACTUELS 18 

3.1 RSA 20 

3.2 DES 21 

3.3 SSL 22 

4. FONCTIONS DE HACHAGE, SIGNATURES ET CERTIFICATS 
ELECTRONIQUES 23 

4.1 fonctions de hachage 23 

4.1.1 Principe 23 

4 .1.2 MD5 23 

4.2 Signatures 24 

4.2.1 Principe 24 

4.2.2 Standard DSS 24 

4.2.3 Standard PKCS 25 

4.3 certificats 26 

4.3.1 Principe 26 

4.3.2 CERTIFICATS X. 509 28 

CONCLUSION 29 

REFERENCES BIBLIOGRAPHIOUES 30 



-2- 



INTRODUCTION 



Des que les hommes apprirent a communiquer, ils durent trouver des moyens 
d' assurer la confidentialite d'une partie de leurs communications : l'origine de la 
cryptographie remonte sans doute aux origines de 1'homme. 

En effet, le mot cryptographie est un terme generique desigant 1' ensemble des techniques 
permettant de chiffrer des messages c'est-a-dire de les rendre inintelligibles sans une action 
specifique. 

Du baton nomme « scytale » au Vie siecle avant JC, en passant par le carre de Polybe ou 
encore le code de Cesar, on assista au developpement plus ou moins ingenieux de techniques 
de chiffrement experimentales dont la securite reposait essentiellement dans la confiance que 
leur accordaient leurs utilisateurs. Apres la premiere guerre mondiale a lieu une premiere 
revolution technologique. 

Mais ce n'est qu'a l'avenement de l'informatique et d'Internet que la cryptographie prend tout 
son sens. Les efforts conjoints d'IBM et de la NSA conduisent a l'elaboration du DES (Data 
Encryption Standard), 1'algorithme de chiffrement le plus utilise au monde durant le dernier 
quart du XXeme siecle. A l'ere d'Internet, le nombre d' applications civiles de chiffrement 
(banques, telecommunications, cartes bleues,...) explose. Le besoin d'apporter une securite 
accrue dans les transactions electroniques font naitre les notions de signature et 
authentification electronique. La premiere technique de chiffrement a clef publique sure 
(intimement liee a ces notions) apparait : le RSA. 

Nous nous tournerons dans un premier temps vers les techniques cryptographiques qui ont 
marque l'histoire, suivis par les techniques actuelles du monde de l'informatique. 
Par ailleurs, nous arreterons egalement sur la securite des algorithmes les plus connus ainsi 
que sur les notions de signatures, certificats et fonctions de hachage. 
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1. Techniques de cryptographic au cours de l'histoire 

Contrairement a ce que Ton peut penser, la cryptographic n'est pas seulement une 
technique moderne, ni un produit de l'ere informatique. En effet de tout temps, les hommes 
ont ressenti le besoin de cacher des informations confidentielles. Bien evidemment depuis ses 
debuts la cryptographie a grandement evolue. Au cours des siecles, de nombreux systemes de 
chiffrage ont ete inventes, tous de plus en plus perfectionnes, et il est vrai que l'informatique 
y a beaucoup contribue. Mais au commencement les algorithmes etaient loin d'etre aussi 
complexes et astucieux qu'a notre epoque. La majeure partie des methodes d'antan reposait 
sur deux principes fondamentaux : la substitution (remplacer certaines lettres par d'autres) et 
la transposition (permuter des lettres du message afin de le brouiller). 

1.1 Systeme de Cesar 

L'un des systemes les plus anciens et les plus simples est le codage par substitution 
mono alphabetique (ou alphabets desordonnes). II consiste a remplacer chaque lettre par une 
lettre differente. II existe done grace a cette technique 26 f aeons de coder un message, ce qui 
fait que ce systeme a ete longtemps utilise par les armees pendant l'antiquite. Ce procede tres 
fiable a l'epoque est tout de meme problematique car il necessite que les interlocuteurs se 
souviennent tous deux de la clef. De plus, il est evident que la surete de ce codage est quasi 
nulle et qu'il pourrait etre dechiffre par n'importe quelle personne qui y mettrait le temps 
necessaire. 

Voici un exemple de substitution : 
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La methode la plus ancienne admise par l'histoire (par substitution alphabetique) est le 
non moins connu code de Cesar, consistant en un decalage simple de lettres. Par substitution 
si Ton remplace le A par le C, alors le B devient D, le D un F, etc.... Cesar utilisait ce code 
simple pour transmettre via un message des consignes a ces generaux d'armees sans qu'il 
puissent etre exploite par un quelconque ennemi dans le cas ou le message serait intercepte. 
Malheureusement il n'y a que 26 facons differentes de chiffrer a l'aide de ce code ce qui en 
fait un code tres peu sur. Mais ce qui est d'autant plus insolite, e'est le fait que ce code de 
« Cesar » est encore utilise de nos jours sur Internet avec le ROT 13 (rotation de 13 lettres) qui 
consiste a cacher des messages afin qu'ils ne soient pas lus involontairement, comme par 
exemple s'ils devoilent le denouement d'un film ou encore qui donne la reponse a une 
devinette. 

1.2 Systeme de Vigenere 

Un autre systeme de cryptographie des plus anciens est cette fois-ci, la substitution 
polyalphabetique, qui utilise plusieurs alphabets decales pour crypter un message. 
L'algorithme de substitution polyalphabetique le plus connu est le chiffre de Vigenere, mis au 
point par Blaise de Vigenere en 1586, qui fut utilise pendant plus de 3 siecles. Son chiffre 
consiste a utiliser le chiffre de Cesar, mais en changeant le decalage a chaque fois. II utilise 
alors un carre compose de 26 alphabets alignes, decales de colonne en colonne d'un caractere. 
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II place egalement au dessus de ce carre, un alphabet pour la clef et a sa gauche un autre 
alphabet pour le texte a coder. II suffit alors, pour chiffrer un message, de choisir un mot de 
longueur quelconque, de l'ecrire sous le message a coder (de facon repetee s'il le faut) et de 
regarder dans le tableau 1' intersection de la lettre a coder et de la lettre de la clef. 

Pour mieux comprendre le fonctionnement du Carre de Vigenere nous vous proposons cet 
exemple : 

Supposons que nous voulons coder le texte « CARRE DE VIGENERE » avec la clef 
« MALICE ». On commence par ecrire la clef sous le texte a coder : 
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Pour coder la lettre C, la clef est donnee par la lettre M. On 
regarde dans le tableau 1' intersection de la ligne donnee par le C, 
et de la colonne donnee par le M. On trouve O. Puis on continue, 
jusqu'a ce qu'on ait fini de chiffrer notre texte. En chiffrant le 
texte « Carre de Vigenere », on obtient done le texte « OAUZG 
HG VTOGRQRP». 

Cet algorithme de cryptographie ainsi que celui de Cesar sont les 
premiers des algorithmes a clef privee. 



1.3 Systeme de Play fair 

II existe d'autres systemes presque aussi anciens bases egalement sur des techniques 
par substitution mais moins connus que ceux vus precedemment. II s'agit des systemes par 
substitution de polygrammes. En effet au lieu de substituer des caracteres, on substitue par 
exemple des diagrammes (des groupes de lettres le plus souvent). Le systeme de « Playfair » 
invente par Sir Charles Wheatstone, popularise par L.Playfair utilise ce stratageme au moyen 
d'une table. Cet algorithme remplace chaque paire de lettre du texte en clair par une autre 
paire. II utilise pour cela une table (matrice) carree de cote 5, construite a partir d'une clef, qui 
contient toutes les lettres de 1' alphabet hormis une (souvent le J par similitude avec le I). 
Chaque couple de lettre donne les coordonnees d'un rectangle dans la matrice. On remplace 
done ce couple par les lettres formant les deux autres coins du rectangle. Si les deux lettres du 
couple sont sur la meme ligne, on prend les deux lettres suivantes. Si elles sont sur la meme 
colonne, on prend les 2 lettres du dessous. Si les 2 lettres sont identiques, on intercale entre 
elles une lettre convenue a l'avance (X ou Y). 

Malheureusement, ce chiffre ingenieux ne fut pas utilise souvent en raison du fait qu'il se 
dechiffre aisement en regardant quel couple de lettres apparait le plus souvent dans le texte 
chiffre, et en supposant qu'ils representent le couple de lettres le plus courant. 
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1.4 Systeme ADFG(V)X 

Mais meme si la cryptographic etait beaucoup utilisee de tout temps, jusqu'au debut 
du XXe siecle, elle gardait une importance mineure, et les methodes utilisees etaient bien 
souvent rudimentaires. Avec la l e guerre mondiale, la cryptographie subit un veritable 
« bourn ». La communication entre etat major et les troupes se fait par radio et il faut done 

empecher les ennemis de comprendre les messages s'ils sont interceptes. C'est la que la 
cryptographie intervient, permettant a l'armee frangaise de stopper de nombreuses offensives 
allemandes. Le chiffre ADFGVX en est un exemple concret. En effet ce code etait utilise par 
l'armee allemande depuis mars 1918 et malgre leurs efforts et leur talent, l'equipe francaise 

de cryptographie n'arrivaient pas a le dechiffrer. Pour realiser ce 
code, qui melange transpositions et substitutions, il faut ranger 
les 26 lettres de l'alphabet ainsi que les 10 chiffres dans un 
tableau de 6 cases sur 6. Au dessus et a cote de ce tableau est 
ajoute le fameux mot ADFGVX. Chacune des lettres du texte en 
clair est remplacee par le couple de lettres qui correspond a sa 
ligne et sacolonne. 



Le 2 juin 1918, l'equipe de cryptographie perce a jour ce systeme et dechiffre un 
message allemand ordonnant une attaque eclair pres de Compiegne. Les troupes francaises s'y 
massent, permettant de stopper l'ennemi. 
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1.5 Machines a rotors 

Tres vite apres la premiere guerre, on s'est rendu compte que si Ton souhaitait diffuser 
beaucoup de documents chiffres rapidement, et pouvoir changer de clef de chiffrement 
facilement, il fallait fabriquer des machines a chiffrer et a dechiffrer. Les machines utilisees a 
ces fins sont les machines a rotors (dont la plus celebre etait la machine ENIGMA a 3 rotors 
inventee dans les annees 30). Cette machine electrique est composee d'un clavier 
alphabetique, d'un ecran lumineux et de trois rotors. Le systeme est simple : l'utilisateur tape 
une lettre sur le clavier et le texte chiffre apparait alors sur l'ecran. A chaque frappe sur le 
clavier, le premier rotor tournait d'une unite puis a la fin d'un tour complet decalait le 
deuxieme rotor d'une unite et ainsi de suite. On positionnait initialement les rotors comme on 
voulait, ce qui definissait ainsi la clef (FAC par exemple). 

1 Clavier Rfrtar 
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Grace a cette machine un texte pouvait etre code d'un million de facons differentes. La frappe 
au clavier d'une lettre en allumait une autre sur l'ecran de maniere symetrique (si A donnait C 
alors C donnait A). Ainsi pour chiffrer un message, une fois la clef fixee, il suffisait de le 
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taper sur la machine et pour le dechiffrer de mettre les rotors dans la meme position initiale et 
de taper le message chiffre. Chaque message commencait par la donnee de la clef choisie par 
l'operateur, qu'il cryptait elle aussi selon une liste de clef changeant tous les jours. La machine 
ENIGMA a ete utilisee pendant toute la seconde guerre mondiale par l'armee allemande qui 
croyait en son inviolabilite. Une equipe de mathematiciens (specialisee en cryptanalyse, art de 
dechiffrer des messages) anglais dirigee par A.Turing finit par la decrypter. 
On voit done ici que la cryptographic est une technique de guerre a part entiere et qu'elle joue 
un vrai role dans l'ere moderne. En effet on se rend compte qu'en l'espace de quelques 
annees, la cryptographic et la cryptanalyse sont passees de simples techniques desuetes, a 
veritables sciences. Cette progression des techniques et algorithmes de cryptage ne s'est pas 
faite toute seule et e'est totalement a cause des attaques incessantes, visant a « casser » les 
techniques adverses, que Ton a pu assister a un tel bond. 



2. Cryptosystemes actuels 

2.1 Cryptographic a clefs prives 

La cryptographic a clefs privees, appelee aussi cryptographic symetrique est utilisee 
depuis deja plusieurs siecles. C'est l'approche la plus authentique du chiffrement de donnees 
et mathematiquement la moins problematique. 

La clef servant a chiffrer les donnees peut etre facilement determinee si Ton connait la clef 
servant a dechiffrer et vice-versa. Dans la plupart des systemes symetriques, la clef de 
cryptage et la clef de decryptage sont une seule et meme clef. 

Les principaux types de cryptosystemes a clefs prives utilises aujourd'hui se repartissent en 
deux grandes categories : les cryptosystemes par flots et les crytosystemes par blocs. 

2.1.1 Cryptosystemes par flots 

Dans un cryptosysteme par flots, le cryptage des messages se fait caractere par caractere ou 
bit a bit, au moyen de substitutions de type Cesar generees aleatoirement : la taille de la clef 
est done egale a la taille du message. L'exemple le plus illustratif de ce principe est le chiffre 
de Vernam. Cet algorithme est aussi appele « One Time Pad » (masque jetable), e'et a dire 
que la clef n'est utilisee qu'une seule fois. 
Voici un exemple simple de 1' application du chiffre de Vernam : 

Exemple : 

Message en clair: "SALUT" 
=> (conversion en binaire) 
01010011 01000001 0100110001010101 01010100 

XOR 
Clef (generee aleatoirement) 
01 110111 011 1011 1 00100100 00011 1 1 1 00011010 
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00100100 00110110 01101000 01001010 01001110 
=> (conversion en caractere) 
"Message chiffre: $6jJM" 

II a ete demontre par le mathematicien Claude Elwood Shannon qu'il etait impossible de 
retrouver un message crypte par le principe de Vernam sans connaitre la clef. Ce qui ferait en 
theorie du chiffre de Vernam un cryptosysteme incassable. Mais dans la pratique, le 
cryptosysteme par flots pose des problemes delicats : canaux siirs de distribution des clefs, 
taille des clefs encombrantes car de meme taille que le message et surtout caractere aleatoire 
des generateurs de bits de clefs utilises. En revanche, un des avantages du systeme est qu'il 
est insensible aux phenomenes de propagation d'erreurs : un bit errone donne une erreur a la 
reception ou a remission, mais est sans incidence sur les bits suivants. 

2.1.2 Cryptosystemes par blocs 

La deuxieme classe de cryptosystemes utilisee aujourd'hui est celle des cryptosystemes par 
blocs. Dans ce mode de cryptage, le texte clair est fractionne en blocs de meme longueur a 
l'aide d'une clef unique. Les algorithmes de chiffrement par blocs sont en general construits 
sur un modele iteratif. Ce modele emploie une fonction F qui prend en parametres une clef k 
et un message de n bits. F est repetee un certain nombre de fois, on parle de ronde. A chaque 
ronde, la clef k utilisee est changee et le message que Ton chiffre est le resultat de l'iteration 
precedente. 

Ci = F(ki,M) 
C 2 =F(k 2 ,Ci) 

C r =F(k r ,C r .i) 

Emetteur et destinataire se partagent une cle K secrete. L'algorithme qui engendre les clefs k; 

a partir de K se nomme l'algorithme de cadencement des clefs. 

La fonction F doit etre inversible, ce qui veut dire qu'il faut pour toute clef k et message M 

pouvoir recalculer M a partir de F (k', M), sinon le dechiffrement est impossible et on ne 

dispose pas d'un algorithme utilisable. C'est-a-dire qu'il existe une fonction G verifiant 

G (k, F (k, M)) = M et que F est une permutation. 

La securite d'un algorithme de chiffrement par blocs reside principalement dans la conception 

de l'algorithme de cadencement des clefs et la robustesse de la fonction F. Si l'algorithme de 

cadencement est mal elabore, les k; peuvent etre deductibles les unes des autres. La fonction F 

doit done etre difficile a inverser sans connaitre la clef k ayant servie dans le calcul de C = F 

(k, M). En d'autres termes, connaissant seulement C, F et G, on ne doit pouvoir retrouver le 

message M seulement en effectuant une recherche exhaustive de la clef. 

Les caracteristiques de ces systemes sont en general liees a leur tres forte sensibilite a la 

dependance inter- symboles, ainsi qu'a leur mecanisme de propagation d'erreurs. Toute erreur 

commise sur un bloc de texte clair ou chiffre peut perturber gravement le 

chiffrement/dechiffrement de ses voisins. 
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2.1.3 Algorithme Data Encryption Standard (DES) 

Publie en 1977 par le NBS (National Bureau of Standards), le DES est un algorithme de 
chiffrement de donnees recommande pour les organisations a caractere federal, commercial 
ou prive. Le DES tire son origine des travaux menes par le groupe cryptographique d'IBM 
dans le cadre du projet LUCIFER. Le DES a ete l'objet de nombreuses implementations, a la 
fois en materiel et en logiciel, depuis sa publication. Apres une decennie de succes, pendant 
laquelle les moyens et techniques de cryptanalyse mis en oeuvre pour en etudier les 
caracteristiques n'ont pas permis d'en decouvrir des faiblesses redhibitoires, le DES a, depuis 
peu, revele des sensibilites a des attaques nouvelles et puissantes, parfois realisees sur un 
simple micro-ordinateur. Aussi 1'ISO (International Organization for Standardization) a-t-il 
recemment refuse la normalisation du DES, ce qui n'empeche pas cet algorithme d'etre, de 
loin, aujourd'hui encore comme le moyen de chiffrement le plus sur (et le plus largement 
utilise) pour des donnees non militaires. 

Le DES est un algorithme de chiffrement symetrique par blocs qui permet de chiffrer des 
mots de 64 bits a partir d'une clef de 56 bits(56 bits servant a chiffrer + 8 bits de parite 
servant a verifier l'integrite de la clef en realite). 

Bloc initial algorithme DES 
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Voici les differentes etapes de 1' algorithme du DES : 

Fractionnement du message 

Dans un premier temps le message en clair est decoupe en blocs de 64 bits. 
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Transposition initiale 
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Chaque bit d'un bloc subit une permutation selon 
l'arrangement du tableau ci-contre c'est-a-dire que le 58eme 
bit du bloc se retrouve en l ere position, le 50 eme en seconde 
position,etc... 



Scindement en bloc de 32 bits 

Le bloc de 64 bits est scinde en deux blocs de 32 bits notes G et D. On notera Go et D l'etat 
initial de ces deux blocs. 
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On remarque que Gocontient tous les bits pairs du message initial et Do tous les bits impairs. 



Rondes 

Les blocs G; et Di sont soumis a un ensemble de transformation appelees rondes. 
Une ronde est elle-meme composee de plusieurs etapes : 
• Fonction d'expansion : 



Les 32 bits du bloc Do sont etendus a 48 bits grace a une table 
d'expansion dans laquelle 32 bits sont melanges et 16 d'entre eux 
sont dupliques. 

Ainsi, le 32 eme bit devient le premier, le premier devient le 
second... Les bits 1,4,5,8,9,12,13,16,17,22,21,24,25,28,29 et 32 
sont dupliques et dissemines pour former un bloc de 48 bits que 
Ton nommeraD'o. 
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• OU exclusif (XOR) avec la clef : 

DES precede ensuite a un OU exclusif entre D'o et la premiere clef ki generee a partir de 
la clef K (que doivent se partager emetteur et destinataire) par l'algorithme de 
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cadencement des clefs que nous decrirons plus bas. Nous appellerons D"o le resultat de 

cette operation. 

• Boites de substitution : 

D"o est decoupee ensuite en 8 blocs de 6 bits, note D"oi . Chacun de ces blocs passe par 

des boites de substitution(S-boxes), notees generalement Sj 

Les premier et dernier bits de chaque Doi determinent la ligne de la fonction de 

substitution, les autres bits determinent la colonne. Grace a cela la fonction de substitution 

« choisit » une valeur codee sur 4 bits (de a 15). 

Voici la premiere boite de substitution : 



































n 




14 


4 


13 


1 


2 


15 


11 


8 


3 


10 


6 


12 


5 


9 





7 







15 


7 


4 


14 


2 


13 


1 


10 


6 


12 


11 


9 


5 


3 


8 




4 


1 


14 


8 


13 


6 


2 


11 


15 


12 


9 


7 


3 


10 


5 





3 


15 


12 


8 


2 


4 


9 


1 


7 


5 


11 


3 


14 


10 





6 


13 



Si 



Soit Doi egal a 010101, les premiers et derniers bits donnent 01, c'est-a-dire 1 en binaire. 
Les bits autres bits donnent 1010, soit 10 en binaire. Le resultat de la fonction de 
substitution est done la valeur situee a la ligne n°l, dans la colonne n°10. II s'agit de la 
valeur 6, soit 01 10 en binaire. 

Chacun des 8 blocs de 6 bits est passe dans la boite de substitution correspondante. 
Voici les autres S-Boxes : 























10 


11 


12 


13 


14 


15 





15 


1 


8 


14 


6 


11 


3 


4 


9 


7 


2 


13 


12 





5 


10 


1 


3 


13 


4 


7 


15 


2 


8 


14 


12 





1 


10 


6 


9 


11 


5 


2 





14 


7 


11 


10 


4 


13 


1 


5 


8 


12 


6 


9 


3 


2 


15 


H 


13 


8 


10 


1 


3 


15 


4 


2 


11 


6 


7 


12 





5 


14 


9 








1 


2 


3 


4 


5 


6 


7 


8 


9 


10 


11 


12 


13 


14 


15 





10 





9 


14 


6 


3 


15 


5 


1 


13 


12 


7 


11 


4 


2 


8 


1 


13 


7 





9 


3 


4 


5 


10 


2 


8 


5 


14 


12 


11 


15 


1 


2 


13 


6 


4 


9 


8 


15 


3 





11 


1 


2 


12 


5 


10 


14 


7 


H 


1 


10 


13 





6 


9 


8 


7 


4 


15 


14 


3 


11 


5 


2 


12 



































7 


13 


14 


3 


6 


9 


10 


1 


2 


8 5 


11 


12 


4 


15 




13 


8 


11 


5 6 


15 





3 


4 


7 


2 12 


1 


10 


14 


9 


2 


10 


6 


9 


12 


11 


7 


13 


15 


1 


3 14 


5 


2 


8 


4 


3 


3 


15 





6 10 


1 


13 


8 


9 


4 


5 11 


12 


7 


2 


14 





151 



































2 


12 


4 


1 


7 


10 


11 


6 


8 


5 


3 


15 


13 





14 


9 


1 


14 


11 


2 


12 


4 


7 


13 


1 


5 





15 


10 


3 


9 


8 


6 


2 


4 


2 


1 


11 


10 


13 


7 


8 


15 


9 


12 


5 


6 


3 





14 


■1 


11 


8 


12 


7 


1 


14 


2 


13 


6 


15 





9 


10 


4 


5 


3 

























10 


11 


12 


13 


14 15 





12 


1 


10 


15 


9 


2 


6 


8 





13 


3 


4 


14 


7 


5 11 


1 


10 


15 


4 


2 


7 


12 


9 


5 


6 


1 


13 


14 





11 


3 8 


2 


9 


14 


15 


5 


2 


8 


12 


3 


7 





4 


10 


1 


13 


11 6 


3 


4 


3 


2 


12 


9 


5 


15 


10 


11 


14 


1 


7 


6 





8 13 



Sy 








































4 


11 


2 


14 


15 





8 


13 


3 


12 


9 


7 


5 


10 


6 


1 


I 


13 





11 


7 


4 


9 


1 


10 


14 


3 


5 


12 


2 


15 


8 


6 


1 


4 


11 


13 


12 


3 


7 


14 


10 


15 


6 


8 





5 


9 


2 


3 


6 


11 


13 


8 


1 


4 


10 


7 


9 


5 





15 


14 


2 


3 


12 



11 



10 11 12 13 14 15 



012345678 

13 2 8 4 6 15 11 1 10 9 3 14 5 12 7 

1 15 13 8 10 3 7 4 12 5 6 11 14 9 2 
7 11 4 1 9 12 14 2 6 10 13 15 3 5 8 

2 1 14 7 4 10 8 13 15 12 9 3 5 6 11 



On obtient done en sortie 8 blocs de 4 bits. Ces bits sont regroupes pour former un bloc de 

32 bits. 

• Permutation : 

Le bloc de 32 bits subit une permutation dont voici la table : 



16 
1 
2 
19 


7 
15 
8 
13 


20 
23 
24 
30 


21 
26 
14 
6 


29 

5 

32 

22 


12 
18 
27 
11 


28 
31 

3 
4 


17 
10 
9 

25 



• OU exclusif : 

Le bloc de 32 bits ainsi obtenu est soumis a un OU exclusif avec le Go de depart pour 
donner Di et le Do initial donne Gi. 

L'ensemble de ces etapes est iteree seize fois. 



Transposition initiale inverse 



[40 


* 


48 


16 


56 


24 


64 


32 


^9 


■> 


@ 


15 


55 


23 


63 


31 


38 


6 


46 


14 


54 


22 


62 


30 


37 


5 


45 


13 


53 


21 


61 


29 


36 


4 


44 


12 


52 


20 


60 


28 


35 


3 


43 


11 


51 


19 


59 


27 


34 


2 


42 


10 


50 


18 


58 


26 


33 


1 


41 


9 


49 


17 


57 


25 



Au bout des seize iterations, les deux blocs Gi6 et Di6 sont 

« recolles » pour reformer un seul bloc de 64 bits puis subit la 

transposition initiale inverse selon 1' arrangement du tableau ci- 

contre. 

On obtient alors le bloc initial chiffre. 



Reconstruction du message chiffre 

Tous les blocs sont colles bout a bout pour obtenir le message chiffre. 



Algorithme de cadencement des clefs 

Nous allons decrire 1' algorithme qui permet de generer a partir d'une clef de 64 bits, 8 clefs 

diversifies de 48 bits chacune servant dans 1' algorithme du DES. 

De prime abord les clefs de parite sont eliminees pour obtenir une clef de 56 bits. 
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Ce bloc subit une permutation puis est decoupee en deux pour obtenir 2 blocs de 28 bits 
decrits par les matrices ci-dessous : 



40 


8 


48 


16 


56 


24 


64 


39 


7 


47 


15 


55 


23 


63 


38 


6 


46 


14 


54 


22 


62 


37 


5 


45 


13 


53 


21 


61 




Ces deux blocs subissent une rotation a gauche, c'est-a-dire que les bits en seconde position 
prennent la premiere position, ceux en troisieme position la seconde, celle en premiere 
position la derniere. . . 



14 


17 


11 


24 


1 


5 


3 


28 


15 


6 


21 


10 


13 


19 


12 


4 


26 


8 


16 


7 


27 


20 


13 


2 


41 


52 


31 


37 


47 


55 


30 


40 


51 


45 


57 


45 


44 


49 


39 


56 


34 


53 


46 


42 


50 


36 


29 


32 



Les 2 blocs sont regroupes pour faire un bloc 
de 56 bits qui passe par une permutation 
fournissant un bloc de 48 bits representant la 
clef k ; . : 



Des iterations de l'algorithme permettent de donner les 16 clefs utilisees dans l'algorithme du 
DES. 



2.1.4 Rijndael (AES) 

En Janvier 1997, la NIST (National Institute of Standards and Technology) lance un appel 

d'offre international pour remplacer le vieillissant DES : il en resulte 15 propositions. 

Parmi ces 15 algorithmes, 5 furent choisis pour une evaluation plus avancee en avril 1999 : 

MARS, RC6,Rijndael, Serpent et Twofish. Finalement, en octobre 2000 la NIST elit Rijndael 

comme nouveau standard qu'on nomme aussi AES (Advanced Encryption Standard). 

Rijndael, du nom condense de ses concepteurs Rijmen et Daemen, est un algorithme de 

chiffrement par blocs a plusieurs tours similaire a DES mais avec une taille de blocs et de 

clefs superieures et variables, choisis entre 128, 196 et 256 bits. 

Le Corps GF(2 8 ) 

Un octet b compose des 8 bits b7,b6,b5,b4,b3,b2,bi,bo peut etre vu comme un polynome de 

degre inferieur ou egal a 7 avec des coefficients dans {0,1 } : 

b7 x 7 + b 6 x 6 + b 5 x 5 + b 4 x 4 + b3 x 3 + b 2 x 2 + bi x + b 
L' addition de deux polynomes de ce type revient a additionner modulo 2 les coefficients de 
chacun. Cette addition correspond au OU exclusif. 

Pour la multiplication, c'est la multiplication usuelle suivie d'une reduction modulo un 
polynome binaire irreductible de degre 8. 

Dans Rijndael, ce polynome est m(x) = x +x +x + x + 1. Le resultat sera a nouveau un 
polynome de degre inferieur ou egal a 7. 

Pour tout polynome binaire de degre inferieur ou egal a 8, l'algorithme d'Euclide etendu 
permet de calculer b(x) tel que a(x) b(x) mod m(x) soit egal a 1, autrement de calculer 
l'inverse de a(x) : a _1 (x). 

On peut voir que l'ensemble des 256 elements possibles, avec l'addition et la multiplication ci- 
dessus,ont la structure du corps GF(2 8 ) : le corps fini de polynomes de degre < 7 avec des 
coefficients dans {0,1}. 
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Structure d'etat dans l'AES 

On appelle etat un bloc vu comme un tableau de 4 x Nb octets ou Nb est egal a 

Taille du bloc / 32. On represente la clef de la meme facon, le nombre de colonnes etant 

N k = longueur de la clef / 32. 



1 
ao,o ao,i 


ao,2 


ao,3 


ai.o 


ai,i 


ai,2 


ai,3 


a2,o 


a2,i 


a2,2 


a2,3 


a3,o 


a3,i 


a3,2 


a3,3 




Exemple d'etat (avec des blocs de 128 bits, N b = 4) et de clef (de longueur 128 bits, Nk = 4) 

Nombre de tours 

Le nombre de tours dans l'AES depend a la fois de la taille des blocs et de la clef. Le nombre 
r de tours est donne par le tableau : 



N r 


N b = 4 

(128 bits) 


N b = 6 

(192 bits) 


N b = 8 

(256 bits) 


N k = 4 10 

(128 bits) 


12 


14 


1 

N k = 6 12 

(192 bits) 


12 


14 


N k = 8 14 

(256 bits) 


14 


14 



Chaque tour utilise une sous-clef k; differente et est composee de quatre etapes : 

ByteSub, ShiftRow, MixColumn et AddRoundKey. 

ByteSub 

ByteSub est une substitution qui agit isolement sur tous les octets ay d'un etat en 2 etapes 

1. on regarde ay comme polynome dans GF(2 8 ), et on prend son inverse a" y. 

2. on calcule l'image du resultat par la fonction y = f(x) suivante : 



fy | 


/ 


y, 




y 2 




^3 





y 4 




y 5 




y 6 




U ? J 


V 



10 1111 
110 111 
1110 11 
11110 1 
111110 
111110 
111110 
11111 





I X \ 




'U 




*1 




1 




X 2 









x 3 

x 4 


+ 








x 5 




1 




X 6 




1 




K x i J 




voj 
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ShiftRow 

ShiftRow effectue un decalage des lignes de l'etat courant. La ligne n'est pas decalee, la 
ligne 1 Test de Ci octets, la 2 de C2 octets et la ligne 3 de C3 octets. Les valeurs de Ci, C2 et 
C3 dependant de la taille du bloc, selon la table suivante : 




MixColumn 

La transformation MixColumn consiste a prendre chaque colonne de l'etat et a la multiplier 
par la matrice suivante: 



f\ 



'0,jc 



1,-v 



2,x 



\Kj 



r 02 03 01 01^ 

01 02 03 01 

01 01 02 03 

v 03 01 01 02 



a 



()..v 



a 



1..V 



a 



2.x 

V a ^J 



AddRoundKey 

AddRoundKey consiste en un OU exclusif de l'etat courant et de la clef du tour. 



2.2 Cryptographic a clefs publiques 

2.2.1 Principe 

Tous les algorithmes evoques jusqu'a present sont symetriques en ce sens que la meme clef 
est utilisee pour le chiffrement et le dechiffrement. Le probleme essentiel de la cryptographie 
symetrique est la distribution des clefs : pour que n personnes puissent communiquer de 
maniere confidentielle il faut n (n-l)/2 clefs. 

L'idee de base des cryptosystemes a clefs publiques a ete proposee dans un article 
fondamental de Diffie et Hellman en 1976. Le principe fondamental est d'utiliser des clefs de 
chiffrement et dechiffrement differentes, non reconstructibles l'une a partir de l'autre : 

• une clef publique pour le chiffrement 

• une clef secrete pour le dechiffrement 

Ce systeme est base sur une fonction a sens unique, soit une fonction facile a calculer dans un 
sens mais tres difficile a inverser sans la clef privee. 

Pour faire une explication imagee, la clef publique joue le role d'un cadenas. Imaginons que 
seul Bob possede la clef (clef secrete), Alice enferme son message dans une boite a l'aide du 
cadenas et l'envoie a Bob. Personne n'est en mesure de lire le message puisque seul Bob 
possede la clef du cadenas. 
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Le gros avantage de ce systeme est qu'il n'y ait pas besoin d'avoir partage un secret au 
prealable pour s'echanger des messages cryptes. En revanche les implementations de tels 
systemes (RSA, ElGamal,...) ont un inconvenient majeur : leur lenteur par rapport a leurs 
homologues a clefs secretes qui tournent eux jusqu'a pres de mille fois plus vite. 

2.2.2 RSA 

L'algorithme le plus celebre d'algorithme a clef publique a ete invente en 1977 par Ron 
Rivest, Adi Shamir et Len Adleman, a la suite de la publication de l'idee d'une cryptographie 
a clef publique par Diffie et Hellman. II fut appele RSA, des initiales de ces inventeurs. 
RSA est base sur la difficulte de factoriser un grand nombre en produit de deux grands 
facteurs premiers. L'algorithme fonctionne de la maniere suivante : 
Imaginons que Bob souhaite recevoir d' Alice des messages en utilisant RSA. 

1 . generation des clefs : 

a. p et q, deux grands nombres premiers sont generes au hasard grace a un 
algorithme de test de primalite probabiliste, avec n = pq. 

b. Un nombre entier e premier avec (p-l)(q-l) est choisi. Deux nombres sont 
premiers entre eux s'ils n'ont pas d'autre facteur commun que 1. 

c. L'entier d est l'entier de l'intervalle [2, (p-l)(q-l)[ tel que ed soit congrue a 1 
modulo (p-l)(q-l), c'est-a-dire tel que ed-1 soit un multiple de (p-l)(q-l). 

2. distribution des clefs : le couple (n, e) constitue la clef publique de Bob. II la rend 
disponible a Alice en lui envoyant ou en la mettant dans un annuaire. Le couple(n, d) 
constitue quand a lui sa clef privee. 

3. chiffrement du message : Pour crypter le message Alice represente le message sous 
la forme d'un ou plusieurs entiers M compris entre et n-1. Elle calcule C= M e mod n 
grace a la clef publique (n, e) de Bob et envoie C a Bob. 

4. dechiffrement du message : Bob recoit C et calcule grace a sa clef privee C d mod n. 
II obtient ainsi le message initial M. 

Exemple : 

Bob choisit p = 17 et q = 19, n = p x q = 323 et e = 5. 

Sa clef privee est alors d=173 car 173 x 5 = 1 (mod (16 x 18)) 

Supposons qu'Alice veuille lui envoyer le message « BONJOUR » en se servant du tableau 

suivant pour transformer les lettres en nombre : 



A 


B 


C 


D 


E 


F 


G 


H 


I 


J 


K 


L 


M 


N 


O 


P 


Q 


R 


S 


T 


U 


V 


W 


X 


Y 


Z 


1 


2 


3 


4 


5 


6 


7 


8 


9 


10 


11 


12 


13 


14 


15 


16 


17 


18 


19 


20 


21 


22 


23 


24 


25 


26 



Cela donne 



B 





N 


J 





U 


R 


2 


15 


14 


10 


15 


21 


18 



Apres avoir chiffre en remplacant chaque nombre b par (b e mod n) o n obtient 



32 2 29 193 2 89 18 



Qu'Alice envoie a Bob. 



16 



Bob realise pour chaque nombre b du message b mod n pour trouver : 



2 


15 


14 


10 


15 


21 


18 


B 





N 


J 





U 


R 



qui est bien le message initial. 

RSA est base sur la difficulte de factoriser n. En effet celui qui arrive a factoriser n peut 
retrouver facilement la clef secrete de Bob connaissant seulement sa clef publique. C'est 
pourquoi dans la pratique la taille des clefs est au minimum de 512 bits. 

2.2.3 SSL 

Le protocole SSL (Secure Sockets Layers, que Ton pourrait traduire par « couche de 
transport securise »), est un precede developpe par Netscape ayant pour but de securiser les 
transactions effectuees sur Internet. De nombreux sites de commerces de nos jours sont 
securises avec SSL (afin de communiquer surement avec leurs clients et d'obtenir le paiement 
de leurs ventes). Ce systeme repose a la fois sur les algorithmes a clef publique (RSA, Diffie- 
Hellmann), sur les algorithmes a clef privee et sur les certificats electroniques (que nous 
traiterons plus tard) afin de garantir au maximum la securite de la transmission de donnees 
avec un tel site. Cependant un utilisateur quelconque ignore en principe totalement qu'il 
utilise SSL, car celui-ci agit de maniere transparente. En fait SSL est independant des 
protocole de communications, il agit directement entre la gestion des commandes et la gestion 
du transport des donnees (il agit comme une couche supplementaire de protection). 



HTTP 


LDAP 


IMAP 



Application layer 
Network layer 



Secure sockets layer 



TCP/IP layer 



De cette facon un utilisateur se connectant a un site de commerce securise via un navigateur 
Internet enverra des donnees chiffrees (code de Carte Bleue..) par SSL s'en meme s'en 
preoccuper. Seuls l'apparition d'un petit cadenas s'affichant dans le navigateur et l'url 
commencant par https:// (le «s» signifiant secured) pourront permettre a un utilisateur averti 
de se rendre compte de 1' intervention de SSL dans un tel echange. 

L'utilisation de SSL est done assez simple etant donne qu'elle se fait seule : son 
fonctionnement Test aussi. La transaction par protocole SSL est en fait base sur un echange 
de clef entre un client et un serveur. La transaction securisee se fait selon un schema bien 
defini. Pour commencer, le client se connecte a un site de commerce (grace a un navigateur 
utilisant SSL) en lui demandant de s'identifier (ce qui evitera de nombreux problemes comme 
nous le verrons dans le chapitre concernant les attaques sur SSL). Le client envoie aussi une 
liste des cryptosystemes qu'il connait. Ensuite le serveur s'identifie en envoyant un certificat 
d'authentification contenant la clef publique du serveur ainsi que le nom du cryptosysteme 
qui lui convient (souvent celui dont la longueur de clef est la plus longues). 
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clef jaune : clef publique 
clef rouge : clef privee 



A la reception, le client doit alors verifier la validite du certificat envoye par le marchant 
(serveur). II choisi en suite une clef secrete (de maniere aleatoire) et l'envoie au serveur sous 
forme cryptee grace a la clef publique du serveur (c'est la que RSA intervient). Cette nouvelle 
clef est appelee clef de session. Le serveur est enfin capable de dechiffrer le reste des 
transactions par le biais de la clef de session. Le serveur ainsi que le client sont done tous 
deux en possession d'une clef commune , permettant alors la confidentialite des donnees 
echangees. Une derniere authentification est possible, celle du client. Elle permettrait encore 
une plus grande securite, mais elle est en fait tres rarement utilisee dans les utilisations 
cour antes de SSL. 

L'utilisation du systeme SSL ne cesse de s'accroitre. En outre il semble important de 
rappeler que SSL est independant du protocole utilise (couche supplementaire), e'est-a- 
dire qui peut non seulement securiser des transactions effectuees sur le Web mais aussi 
des connexions par FTP, POP, TELNET, IMAP, SMTP, etc... 



3. Securite et attaques de systemes actuels 

Bien evidemment, la qualite la plus importante que doit posseder un cryptosysteme est 
la securite, e'est-a-dire qu'il doit pouvoir resister a quelconque attaque qui aurait pour but de 
le casser et dans extraire le texte en clair original. Bien evidemment la bete noire de la 
cryptographie est la cryptanalyse, mais Ton se rend vite compte que sans ces multiples 
attaques ennemies, la cryptographie n' aurait bien evidemment jamais autant progresse et 
serait restee au meme stade que celle de Cesar. 

De nos jours, comme de tous temps, un systeme de chiffrement repose done sur son 
inviolabilite. C'est pour cela que pour des systemes aussi utilises que RSA, DES ou SSL, la 
cryptanalyse de ces algorithmes est essentielle pour en trouver les failles. A l'aide de 
simulations (attaques), on effectue alors la cryptanalyse des algorithmes de chiffrement : on 
etudie sa securite en tentant de casser les fonctions cryptographiques qui le composent. II est 
done preferable pour un algorithme d'etre diffuse (code source) pour que des cryptographes 
puissent mettre a l'epreuve sa securite. 

Dans le cas des systemes vus auparavant et bien d'autres, il semble evident que la 
cryptanalyse a bien aidee a renforcer leur securite, mais celle-ci n'en est pas pour autant 
devenue parfaite. En effet leur quasi invulnerabilite cede parfois devant certaines attaques. 
En fait, les attaques sur un systeme de chiffrement ne touchent souvent pas les algorithmes de 
chiffrement en cause. II peut s'agir la plupart du temps de l'exploitation d'une erreur de 
conception, d'une erreur de realisation ou d'une erreur d'installation. 

On peut distinguer deux types reels d'attaque. Premierement les attaques passives ont pour 
but d'intercepter un message et d'exploiter les informations contenues dans celui-ci. Cette 
attaque ne modifie en rien les informations interceptees ou de manieres imperceptibles. Le 
deuxieme type d' attaques est les attaques actives qui visent a ralentir, degrader ou meme 
empecher la communication, d'envoyer des informations parasites dans le but de saturer des 
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systemes, de modifier les informations afin de tromper le destinataire ou de faire carrement 

disparaitre ces informations. 

Les types d'attaques employes le plus couramment sont nombreux et different selon le type 

du systeme (symetrique, asymetrique, fonction de hachage, etc...). 

Nous vous presentons ici une liste des types d'attaques sur les algorithmes : 

• L'attaque en force (ou Brute force attack, Exhaustive key search attack) 

Le cryptographe essaie toutes les combinaisons de clefs possibles jusqu'a l'obtention 
du texte clair. Avec des ordinateurs de plus en plus performants et des methodes de 
calculs distribues, l'attaque en force restera toujours un moyen de casser des systemes 
de chiffrement. 

• L'attaque a l'aide de 1' analyse statistique (ou Statistical analysis attack) 

Le cryptographe possede des informations sur les statistiques du message clair 
(frequences des lettres ou des sequences de lettres). Les systemes tels que ceux par 
substitution ne resistent pas a une telle attaque. 

• L'attaque a l'aide de textes chiffres seulement (ou Ciphertext-only attack) 

Le cryptographe dispose de messages chiffres par l'algorithme et fait des hypotheses 
sur le texte clair (presence d' expressions, de mots, le sens du message, format ASCII 
etc.). II peut grace a cela soit retrouve les textes en clair, soit retrouver la clef. 

• L'attaque a l'aide de textes clairs (ou Known-plaintext attack) 

Le cryptographe dispose des messages ou parties de message clairs et de leur version 
chiffree. Le but du cryptographe est alors de retrouver la clef. Ce type d' attaque est 
tres repandu. 



• 



L'attaque a l'aide de textes clairs choisis (ou Chosen-plaintext attack) 

Le cryptographe dispose des messages clairs et de leur version chiffree. II a aussi la 
possibilite de tester des messages et d'obtenir le resultat chiffre. Les chiffrements 
asymetriques sont notamment vulnerables a cette attaque. 

L'attaque d'une tierce personne (ou Man-in-the -middle attack) 

Cette attaque plus communement appelee l'attaque de «l'homme du milieu» intervient 
dans une transaction entre deux personnes(groupes...). Une troisieme personne 
s'interpose de maniere transparente entre les deux et termine la transaction 
normalement en captant les messages et en transmettant d'autres messages. II peut 
done ainsi intercepter et meme modifier les messages envoyes sans que les deux 
entires s'en apercoivent. Cette attaque peut etre evitee avec les signatures digitales. 

L'attaque a l'aide du temps d'operation (ou Timing Attack) 

Cette methode est basee sur la mesure du temps necessaire pour effectuer des 
chiffrements ou des dechiffrements. Ainsi cette etude permet de mieux cibler la 
longueur de la clef utilisee et a done pour but de limiter grandement le domaine des 
clefs a explorer pour une cryptanalyse classique. 
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3.1 RSA 

RSA est probablement une methode de chiffrement assez sure: il y a tres certainement 
plus de risques lies a une mauvaise utilisation qu'a une attaque, mais les risques issus de cette 
derniere ne sont pourtant pas nuls. Nous rappelons que par exemple lors d'une attaque d'un 
systeme de type RSA, l'objectif d'un attaquant n'est pas forcement de retrouver la clef privee 
associee a la clef publique. Le plus souvent l'attaquant cherche seulement a retrouver le 
message clair a partir d'un message chiffre ou meme seulement un bit ou une partie du 
message. 

Bien que RSA soit un des cryptosystemes les plus surs de nos jours, il n'en demeure 
malheureusement pas moins vulnerable a certaines attaques comme 1' attaque de «l'homme du 
milieu» ou la Timing attack. 

L' attaque de « l'homme du milieu » peut etre employe de facon evidente pour casser cet 
algorithme. Supposons dans notre cas qu'Edgar soit un espion et qu'il veuille intercepter les 
conversations entre Alice et Bob. II suffit alors a Edgar de choisir une clef privee b et une clef 
publique qui convient (a, n) qu'il envoie a Alice en lui faisant croire que ce sont les nouvelles 
clefs de Bob. Notre espion peut alors lorsqu'il intercepte les messages d' Alice, les dechiffrer 
et les comprendre. II lui reste done a s'assurer que Bob ne se rende compte de rien en re- 
chiffrant les messages d' Alice avec l'ancienne clef publique de Bob qui recoit le message 
comme si aucune operation n'avait ete effectuee dessus. S'il le veut il peut effectuer la meme 
operation en sens inverse, pour recuperer les messages que Bob envoie a Alice. Pour contrer 
cette attaque, il est tres important pour Alice et Bob de toujours s'assurer que personne ne 
tente de modifier leurs messages en effectuant plusieurs verifications. Pour cela, les methodes 
les plus utilisees sont celles d'authentification et de signature que nous expliquerons plus en 
detail dans un chapitre ulterieure. Ces methodes permettent de s'assurer que le document recu 
n'a pas ete modifie en cours de route, et qu'il provient bien de l'expediteur initial. 
De plus on a vu que le principe de base de RSA etait la decomposition d'un nombre n en 
produit de 2 nombres entiers p et q. Une attaque assez evidente serait de tenter de trouver la 
factorisation de n. Cependant les plus puissants algorithmes existants ne peuvent effectuer 
cette factorisation que pour des entiers inferieurs a 155 chiffres (soit une clef de 512 bits). II 
est done evident que la securite du RSA repose sur la difficulte de factoriser de grands 
entiers ; car il est simple, pour garantir une grande securite, de choisir de plus grandes clefs 
(par exemple de 1024 ou 2048 bits). Malheureusement on ne peut pas affirmer que cette 
simple protection suffise, car la constante amelioration des ordinateurs et des algorithmes de 
factorisation permettront peut etre plus tot que prevu de casser RSA. 

Enfin, il existe un nouveau type d' attaque qui semble plus percutante et plus novatrice que les 
autres, la Timing attack. En effet comme nous l'avons vu, le fonctionnement de RSA est base 
sur la fonction y x mod n servant a dechiffrer le texte y code recu. L'entier n est rendu publique 
et le texte y a pu etre intercepte par un attaquant qui aura alors pour but de trouver la clef 
secrete x. Pour chaque message y que recoit la victime, elle devra done calcule y x mod n. II 
est alors facile pour l'attaquant d'enregistrer les messages recus par la cible et de mesurer le 
temps mis pour repondre a chaque message code y. 
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L'attaquant peut ensuite recueillir les temps de calcul pour un grand nombre de messages et 
dresser un tableau associant un message avec le temps de decryptage associe (voir tableau ci- 
dessous). 



Yl 


Y2 


Y3 




Yi 




Yn 


137ms 


154ms 


132ms 




170ms 




147ms 



Ainsi en dressant cette liste de mesure et en l'exploitant, Ton peut restreindre de beaucoup 
l'intervalle dans lequel on recherche la clef, car il est evident que pour des clefs d'une telle 
longueur, il faut explorer une immensite de cas differents. Cependant cette attaque n'est pas 
infaillible, car il est sur que RSA ne serait pas encore si utilise de nos jours si une attaque 
avait d'aussi grandes chances de « casser » a chaque tentative ce systeme. La solution assez 
evidente pour parer ce genre d' attaque est de choisir un nouvel exposant x pour chaque 
operation, l'attaque ne fonctionne done plus. 

De nombreuses attaques maintenant assez repandues fonctionnent contre le cryptosysteme 
RSA, mais la grande securite de ce systeme permet d'y remedier. C'est pour cela que comme 
nous l'avons dit precedemment les failles de RSA pourraient plutot provenir de la maniere de 
l'utiliser et non de ces failles de securites en elle-meme. RSA en demeure un des systemes les 
plus surs de nos jours. 



3.2 DES 



Le DES l'un des cryptosystemes les plus connus a clefs privees, n'est tout autant que 
RSA pas invulnerables a toutes les attaques qu'il peut subir regulierement. En effet de 
nombreuses attaques sont deja arrivees par le passe a venir a bout des algorithmes qui 
composent le DES, malgre le fait qu'il etait considere comme 1 'un des moyens de 
chiffrement les plus surs. Mais les attaques incessantes qu'il subissait, ont eu raison de DES 
et ont montre au grand jour ses faiblesses. 

L'attaque qui fonctionne le mieux sur DES est l'attaque en force qui consiste, comme nous 
l'avons vu, a essay er d'appliquer toutes les combinaisons de clefs envisageables sur le texte 
chiffre, jusqu'a obtenir le texte en clair. Cette methode semble assez « primaire », mais elle a 
pourtant permis en 1999 a l'aide d'un grand nombre d'ordinateurs travaillant simultanement 
de casser le DES en seulement 22 heures. Ceci dit l'attaque de type force brute ne se revele 
pas tout le temps aussi fructueuse que cela, et il faut dans certains cas plusieurs mois voire 
plusieurs annees pour passer toutes les clefs. 

Les attaques par force brute ne sont pas les seuls a fonctionner contre DES. Les attaques a 
l'aide du texte clair fonctionnent egalement comme contre beaucoup de cryptosystemes 
actuels. Cette attaque consiste en une « cryptanalyse lineaire », c'est a dire que l'attaquant 
essai de modeliser sous forme d' approximation lineaire les algorithmes conduisant aux textes 
chiffres. Avec un grand nombre de textes clairs et de textes chiffres, on peut obtenir certains 
bits de la clef. Cette attaque est actuellement l'une des plus performante, puisqu'elle ne 
necessite que 2 couples de textes (clairs et chiffres). Grace a une telle cryptananalyse une 
clef DES a ete trouvee en seulement 50 jours avec l'aide d'une douzaine de machines. 
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3.3 SSL 

Le protocole SSL comme beaucoup des cryptosystemes modernes est la cible de 
nombreuses attaques qui ont pu tester regulierement les points forts de sa haute securite. En 
effet, SSL a ete configure de sorte a contrer toutes ces attaques. Nous allons toutefois tenter 
de dresser la liste des differentes attaques qui pourraient etre utilisees contre le protocole SSL. 
Nous retrouvons ici les fameuses « attaques a textes clairs » et attaques « de l'homme du 
milieu » vues precedemment mais aussi la moins connue attaque replay . 
Les attaques a "texte clair" ont lieu lorsque l'attaquant a une idee du message chiffre qui est 
envoye, qu'il connait une ou plusieurs parties du message. II va chercher a retrouver la ou les 
clefs utilisees pour chiffrer, ou un algorithme permettant de dechiffrer d'autres messages 
chiffres avec ces memes clefs. L'attaquant peut generer une liste (table de hachage) dont les 
clefs sont les valeurs chiffrees du texte clair et dont les valeurs sont les clefs de session. Une 
fois que l'attaquant connait la clef de session, il peut dechiffrer le message entier. SSL est 
assez vulnerable a ce genre d'attaques. Le moyen d'y parer est d'utiliser des clefs de session 
tres grandes. D'abord le client devra generer une tres grande clef et envoyer une partie en 
clair, une partie en cryptee au serveur. Le serveur concatenera alors les deux parties pour 
retrouver la clef d'origine. En utilisant une clef d'une longueur de 128bits l'utilisateur de SSL 
peut se premunir de ce type d' attaque, car dechiffrer une telle clef est un processus beaucoup 
trop couteux en temps et en moyens financiers. 

L' attaque classique de l'homme du milieu est aussi utilisee pour tenter de casser un protocole 
SSL. Ce type d'attaque peut se presenter lorsque trois personnes sont dans une session de 
communication SSL : le client, le serveur et l'espion. L'espion se situe entre le client et le 
serveur et intercepte les communications entre les deux. Son but est de prendre la place du 
serveur aux yeux du client. Malheureusement pour l'espion, si le client prend bien soin 
d'effectuer la procedure d'identification du serveur specifique a SSL, cette attaque a toutes les 
chances d'echouer. Pour ce faire, il doit verifier le certificat du serveur en regardant la 
signature et en verifiant si le nom du donneur de certificat est reconnu. Pour resume, si 
l'homme du milieu fournit un faux certificat, la verification de la signature le detectera. . Si la 
signature n'est pas authentifiee par le serveur, la signature passera mais alors c'est la 
verification du nom du serveur qui detectera l'intrusion. Enfin, si la faux certificat n'est pas 
detecte, Edgar (qui est notre espion ne l'oublions pas) ne possede pas la clef privee necessaire 
a coder correctement la reponse au client. Une attaque par cette methode est done rendue 
extremement difficile, voire impossible par le fonctionnement de SSL. 

Enfin SSL peut etre sujet a un troisieme type d'attaque : l'attaque replay. Cette methode 
d'attaque est simple. Un attaquant enregistre une session de communication entre un serveur 
et un client. Ensuite il se reconnecte au meme serveur en reutilisant les messages qu'il vient 
d'enregistrer du client. Mais SSL se protege de ce genre d'attaque en attribuant a chaque 
connexion un id (une « nonce ») qu'il est impossible de connaitre a l'avance (car elle est 
basee sur une serie d'evenements aleatoires). Meme avec des moyens materiels enormes il 
aurait beaucoup de difficulte, en enregistrant de nombreuses sessions, a trouver une nonce 
correcte. 

II parait done evident que SSL est difficilement attaquable. Le fait simple de choisir une tres 
grande clef decourage un grand nombre d'attaques etant donne le temps et l'argent necessaires 
pour la mener a bien. 
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4. Fonctions de hachage, signatures et certificats electroniques 

4.1 Fonctions de hachage 

Lors d'echanges de messages cryptes, il est important de pouvoir s'assurer que le 
message n'a pas ete altere ou modifie par un tiers pendant 1' envoi. Les fonctions de hachage 
permettent alors de s'assurer de l'integrite du message. 

4.1.1 Principe 

Une fonction de hachage calcule l'empreinte y (ou digest) d'un message x. Cette 
fonction F doit etre une fonction a sens unique c'est-a-dire qu'il doit etre facile de trouver y a 
partir de x, mais tres difficile de trouver x a partir de y. Elle doit aussi etre tres sensible pour 
qu'une petite modification du message entraine une grande modification de l'empreinte. En 
envoyant le message accompagne de son empreinte, le destinataire peut ainsi s'assurer de 
l'integrite du message en recalculant le resume a l'arrivee et en le comparant a celui recu. Si 
les deux resumes sont differents, cela signifie que le fichier n'est plus le meme que l'original : 
il a ete altere ou modifie par une tierce personne. 

Les fonctions de hachage les plus repandus sont MD5 et SHA-1 qui sont bases tous les deux 
sur MD4, MD5 generant des empreintes de 128 bits et SHA-1 de 160 bits(seul MD5 sera 
decrit, ces deux fonctions ay ant un fonctionnement similaire). 

Nous verrons plus en avant qu'une fonction de hachage joue un role dans la signature 
electronique, methode qui permet d'authentifier l'expediteur. 

4 .1.2 MD5 

MD5 (« Message Digest ») est un des plus connus algorithme de hachage. C'est une 
version amelioree de MD4 tous deux concus par Ron Rivest, un des createurs de RSA. MD5 
fabrique une empreinte d'une taille de 128 bits. 
Padding 

Soit un message m d'une longueur de n bits. MD5 manipulant des blocs de 512 bits, 
l'algorithme complete le message avec un 1 suivi d'autant de que necessaires jusqu'a ce que 
la longueur de message soit congrue a 448 modulo 512. L'operation de padding a toujours 
lieu meme si la longueur du message est deja congrue a 448 modulo 512. 
Ajout de la taille 

On ajoute a ce message la valeur de n, codee en binaire sur 64 bits. On obtient done un 
message dont la longueur est un multiple de 512 bits. 
Chaque bloc de 512 bits est decompose en 16 blocs de 32 bits. 
Initialisation 

MD5 prend 4 tampons de 32 bits en entree initialises de la maniere suivante (en 
hexadecimal) : 

A=0 1234567 

B=89abcdef 

C=fedcba98 

D=76543210 

Rondes 

MD5 est compose de quatre rondes qui executent chacune 16 operations. Pour chaque ronde, 
une seule fonction prenant 3 arguments codes sur 32 bits et renvoyant une valeur sur 32 bits 
est utilisee pour les 16 operations. Les 4 fonctions sont les suivantes : 
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F(X,Y,Z) = (X and Y) or (not(X) and Z) 
G(X,Y,Z) = (X and Z) or (Y and not(Z)) 
H(X,Y,Z) = X xor Y xor Z 
I(X,Y,Z) = Y xor (X or not(Z)) 
Pour chaque bloc de 512 bits, on effectue les operations suivantes : 

■ on sauvegarde les valeurs des tampons (A, B, C et D) dans des registres AA, BB, CC 
etDD. 

■ On calcule les nouvelles valeurs pour A, B, C et D a partir de leurs anciennes valeurs, 
des bits du bloc qu'on etudie et une des quatre fonctions F, G, H ou I selon la ronde. 

■ On effectue A=AA+A, B=BB+B, C=CC+C, D=DD+D 

Ecriture de l'empreinte 

L'empreinte sur 128 bits est obtenue en mettant bout a bout les quatre tampons finaux A, B, C 
etD. 

4.2 Signatures 

4.2.1 Principe 

Les fonctions de hachage permettent de s'assurer de l'integrite d'un message mais un 
autre probleme se pose : comment etre certain que personne n'a usurpe l'identite de 
l'expediteur pour vous envoyer un message ? Ou que l'expediteur ne va pas nier vous l'avoir 
envoye ? 

C'est le role de la signature numerique, celle-ci fournissant done les services d'integrite des 
donnees, d'authentification de l'origine des donnees et de non-repudiation. 
La facon la plus simple de signer un message est d'utiliser la cryptographie asymetrique pour 
le chiffrer en utilisant sa clef privee : seul le possesseur de cette clef peut generer la signature 
et toute personne ayant acces a la clef publique correspondante peut la verifier. Mais cette 
methode est tres lente et en pratique elle n'est que peu utilisee. 

La methode reellement utilisee repose non pas sur le chiffrement du message lui-meme mais 
sur l'empreinte (empreinte issue d'une fonction de hachage comme MD5 par exemple) de 
celui-ci. En effet, cette methode est beaucoup plus rapide du fait de la quantite reduite des 
donnees a chiffrer. 

Une signature numerique est plus sure qu'une signature papier car la signature change a 
chaque message. Elle est de ce fait inimitable (sans la connaissance de la clef secrete bien 
entendue). 

4.2.2 Standard DSS 

Le schema de signature que nous decrivons ci-apres est particulierement important 
puisqu'il constitue la premiere tentative d'elaboration d'un standard de jure d'authentification 
et de signature digitale. Ce schema a ete selectionne par le National Institute of Standards and 
Technology pour les transactions gouvernementales americaines. Son adoption comme 
standard officiel au niveau des autorites federales (Federal Information Publication-Standards 
Publication 186 du 19 mai 1994) fait encore l'objet d'un debat d'opinion assez vif aux Etats- 
Unis. 

DSS se base sur l'algorithme DSA que nous allons decrire ci-dessous. 
DSA (Digital Signature Algorythm) 

DSA se fonde sur le probleme du logarithme discret, le seul qui paraisse aujourd'hui pouvoir 
rivaliser avec le systeme RSA, base lui, sur la difficulte extreme de factoriser des grands 
nombres. II utilise les parametres suivants : 
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• p est un nombre premier de l'intervalle ]2 L_1 , 2 L [ ou L est un nombre compris entre 
512 et 1024 et est un multiple de 64. 

• q est un diviseur premier de p - 1 compris d'une longueur de 160 bits (2 159 <q<2 160 ). 

• g = h (l>1)/q (mod p), ou l<h<p-l et g >1. 

• x est un entier de l'intervalle ]0, q[ . 

• y = g x (mod p) 

• k est un entier aleatoire de ]0, q[ . 

Les entiers p, q et g sont publics. Chaque utilisateur a une clef secrete x et une clef publique y. 
Le nombre k doit etre regenere a chaque signature. 

Si Alice souhaite envoyer le message M a Bob, alors Alice calcule r et s a partir des nombres 
p, q, g(publics) et de sa clef privee (x , k) de la maniere suivante : 

• r = (g k mod p) mod q 

• s = (k" 1 (SHA (M) + x r )) mod q 

avec k" 1 l'unique entier de ]0,q[ tel que k -1 k = l(modulo q). 

SHA (M) est la conversion en entier d'une chaine de 160 bits empreinte du message M 

issu de l'algorithme SHA-1. 
Bob recoit alors les quantites M', r', s' et dispose de l'identite d'Alice et de sa clef publique y. 
Pour verifier la signature du message, Bob effectue les operations suivantes : 

♦ si < r' < q et /ou < s' < q n'est (ne sont) pas verifiees alors la signature n'est 
pas valide. 

♦ Bob calcule ensuite : 

o w = (s') 4 modq 

o ui = ((SHA(M'))w)modq 

o u 2 = ((r') w) mod q 

o v = ((g ul y u2 ) mod p) mod q 
Si v = r', alors la signature est verifiee et Bob est (quasi) sur que le message a bien ete envoye 
par Alice. 
Dans le cas contraire, le message doit etre considere comme invalide et il y a 3 possibilites : 

1 . le message M a ete modifie. 

2. le message M a ete signe de maniere incorrecte par Alice. 

3. le message a ete signe par une autre personne (intrus). 

4.2.3 Standard PKCS 

Les PKCS (Public-Key Cryptography Standards) sont des specifications issues des travaux 
d'une compagnie americaine, RSA Data Security, en cooperation avec le Massachusetts 
Institute of Technology et un consortium de compagnies informatiques incluant Apple, 
Microsoft, DEC, Lotus, Sun Microsystems. Elles ont ete developpees dans le but d'accelerer 
le deploiement de la cryptographic a clef publique. 
Les differents PKCS sont : 

• PKCS#1 : RSA Cryptography Standard 

• PKCS#2 : obsolete, inclus dans PKCS1 

• PKCS#3 : Diffie-Hellman Key Agreement Standard 

• PKCS#4 : obsolete, inclus dans PKCS1 

• PKCS#5 : Password-Based Cryptography Standard 

• PKCS#6 : Extended-Certificate Syntax Standard 

• PKCS#7 : Cryptographic Message Syntax Standard 

• PKCS#8 : Private-Key Information Syntax Standard 

• PKCS#9 : Selected Attribute Types 
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PKCS#10 : Certification Request Syntax Standard 

PKCS#11 : Cryptography Token Interface Standard 

PKCS#12 : Personal Information Exchange Syntax Standard 

PKCS#13 : Elliptic Curve Cryptography Standard 

PKCS#15 : Cryptography Token Information Format Standard. 
Les documents PKCS#6 a PKCS#15 sont essentiellement des documents specifiant des 
syntaxes standards pour differentes operations liees a la cryptographic Nous ne decrirons ici 
que la specification PKCS#1 car elle est la seule a decrire un standard de signature. 
Pour correspondre au standard PKCS#1, une signature numerique doit avoir ete constitute de 
la maniere suivante : 

1 . Une empreinte du message doit etre fabriquee en utilisant l'un des algorithmes de 
compression MD2, MD4, MD5 ou SHA-1. 

2. L'empreinte doit ensuite etre chiffre avec la clef secrete RSA du signataire. 
C'est l'ensemble forme du message et de l'empreinte chiffree qui constitue la signature 
digitale. 



4.3 Certificats 

4.3.1 Principe 

Infrastructure a clef publique (ICP) 

L' infrastructure a clef publique definit un ensemble de services de securite afin de 
rendre les echanges electroniques fiables. 

A l'interieur de 1TCP, les elements sont organises hierarchiquement dans le but de garantir un 
niveau de securite eleve. Elle est composee de : 

• une autorite d'enregistrement (Registration Authority) 

• une autorite de certification 

• un systeme de distribution des clefs 

Les ICP sont evolutives et interoperables c'est-a-dire qu'elles sont capables de suivre la 
croissance du nombre d'utilisateurs et doivent supporter l'ajout de nouvelles autorites de 
certification et l'etablissement de certification croisee entre plusieurs autorites. 




Relation hierarchique dans une ICP simple 
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Le probleme qui a amene a creer les certificats est l'oppose de celui qui a amene a creer les 

signatures numeriques. Un certificat permet d'attester l'identite du destinataire de la meme 

facon qu'un papier d'identite permet d'identifier une personne. En effet, les certificats 

numeriques fonctionnent sur le meme principe : ils sont emis par un organisme superieur 

(l'Etat pour le papier d'identite) appeles autorite de certification. 

Une autorite d'enregistrement est un organisme approuve pour verifier que les autres 

organismes sont bien ce qu'ils pretendent etre. Pour cela elle applique des procedures 

d' identification conformes aux regies definies par l'autorite de certification. 

Obtenir un certificat numerique 

Pour obtenir un certificat d'une autorite d'enregistrement, il faut done fournir a celle-ci des 

informations (documents officiels) prouvant votre identite ou celle de votre organisation ainsi 

que votre clef publique. L'autorite verifie alors votre identite mais aussi que la clef fournie 

est bien issue d'un algorithme de cryptage a clef publique particulier. 

II existe trois classes de certificats correspondant a differents niveaux de securite : 

• certificats de classe 1 : Le demandeur ne fournit qu'une adresse e-mail. 

• certificats de classe 2 : Ils requierent une preuve d'identite du demandeur. 

• certificats de classe 3 : Ces certificats ne peuvent etre delivres que si le demandeur est 
present physiquement. 
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attribution 
de certificat 



- P u 
et du certificat 

© 

© — 

donnees 
dechiffrees 

avec la 
<;ii publique 



d'en 



autorite 
enregistrement 



H 



autorite 
de certification 



cpntrSte de 

validite du 

certificat 




Acceder aux informations du certificat 

Une fois le certificat racine de l'autorite de certification integre au navigateur Internet, le 

destinataire peut dechiffrer celui-ci et identifier son auteur en comparant les deux 

condenses(condense issu de la signature et condense calcule grace a une fonction de hachage 

- le plus souvent MD5 ou SHA-1). 

Cycle de vie d'un certificat 

Pour des raisons de securite, un certificat est accorde pour une duree limitee. II peut etre 

egalement remis en question dans la periode de validite pour differentes raisons : 

• volonte du detenteur du certificat 

• changement de situation du detenteur 

• volonte de l'autorite de certification 

• securite 

Le certificat est alors suspendu ou revoque, la suspension ou la revocation etant notifie dans 
un annuaire specifique facilement accessible (en ligne). 
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4.3.2 Certificats X.509 

Le format de certificats numeriques X.509 de 1'ISO (Organisation Internationale de 
Normalisation) est le plus repandu. Un certificat X.509 est compose de la signature de 
l'autorite de certification et d' informations. 
Les informations contiennent : 

> la version de la norme X.509 designe par un nombre entier : pour la version 1, 1 
pour la version 2 et 2 pour la version 3. 

> le numero de serie : chaque certificat a un numero unique. 

> 1'algorithme de signature utilise par l'autorite : MD5, DSA,etc. . . 

> la periode de validite du certificat 

> le nom de l'autorite de certification 

> le nom du sujet 

> renseignements sur la certification de la clef publique : 

o algorithme utilise 

o chaine de bits representant la clef publique 

> informations optionnelles specifiques a la version 3 

La version 3 de X.509 est la version actuelle, mais toutes les versions sont utilisees. La 
version 3 donne la possibilite d'ajouter des extensions personnalisees (optionnelles) aux 
certificats. 

Certificate: 
Dala: 

Version: v3 (0k2) 

Serial Number: 3 (Dk3) 

Signature Algorithm: PKCS#1 MDSWith RSA Encryption 

Issuer OU=Ace Certificate Authority. 0=Ace Industry, C=U3 

Validity: 

Not Before. Fri Oct 17 13:33 25 1997 
Not Aftsr: Sun Oct 17 13:36:25 1999 
Subject: CN=Jane Doe, OU= Finance, 0=Ace Industry, C=US 
Subject Public Kiey Info: 

Algorithm: PKCS#1 PSA Encryption 
Public Key: 
Modulus: 

00 :ca:f a:79:9B :3f:1 9:fB:d7: d e:e4 :49SD:43:eB :2a:2a :BS: [. . .] 

E mansions: 

Identifier. Certificate Type 
Critical: no 
Certified Usage: 

SSLCIiBnl 
Identifier. Authority Key Identifier 
Critical: no 
Key IdentlfiEr: 

f2:f2:DB 59:90:13:47 :51 .f5.89:33.5a:31 7 a: e6:5 c.fb.3B : 
2-3. u9 
Signature: 

Algorithm: PKCS #1 MD5 Wilh RSA Encryption 
Signature: 

Gd:23:af:l3:d3:b6:7a:df:9Q:df.cd:7e:ia:Bc:D1.G9:3e:54:65:rc:0B: [...] 

Exemple de certificat X.509 version 3 
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CONCLUSION 



Nous avons vu un panel de methodes de chiffrement de l'antiquite a nos jours, les 
attaques existantes sur les cryptosystemes actuels les plus utilisees et les moyens inventes 
pour s'assurer de l'integrite, de rauthentification de l'expediteur et du destinataire d'un 
message. 

Ainsi, la cryptographie est une science en perpetuelle evolution, la cryptanalyse aidant a 
trouver les failles d'un systeme pour toujours avancer. Cette evolution est importante car la 
cryptographie joue un grand role dans la securite internationale, tout etant aujourd'hui 
informatise. 

Pourtant, meme si la cryptanalyse permet de faire avancer la cryptographie avec des methodes 
de chiffrement et une technologie toujours plus poussees, elle represente aussi un danger a 
l'echelle internationale. En effet, qu'adviendrait-il demain si un mathematicien decouvrait une 
verite mathematique permettant de casser les algorithmes RSA et ElGamal par exemple ? 
Toute la securite informatique serait remise en question et ce que nous connaissons 
aujourd'hui tels que les sites de vente en ligne basees sur ces algorithmes ne fonctionneraient 
plus. Par consequent, c'est non seulement la securite internationale qui serait touchee, mais 
aussi toute une economic 

C'est pourquoi tout est mis en oeuvre pour assurer la securite de demain avec des perspectives 
telle que la cryptographie quantique, theoriquement incassable puisqu'elle serait une 
technique similaire au chiffre de Vernam (cryptosysteme par flots) ou la cle est aussi longue 
que le message. 
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